Azure应用注册密钥存储位置及Terraform循环错误排查求助

你遇到的循环依赖是因为Terraform azurerm 提供商的初始化依赖Key Vault中的密钥，但Key Vault的数据资源（data.azurerm_key_vault、data.azurerm_key_vault_secret）又依赖已经完成初始化的提供商，形成了无法打破的闭环。

以下是几种可行的解决办法：

• 用环境变量传递认证信息
  运行Terraform命令前，直接设置Azure认证所需的环境变量，跳过Key Vault的循环依赖：

  export ARM_CLIENT_ID="你的应用注册client_id"
  export ARM_CLIENT_SECRET="你的应用注册密钥"
  export ARM_SUBSCRIPTION_ID="你的订阅ID"
  export ARM_TENANT_ID="你的租户ID"
  

  Terraform会自动读取这些环境变量完成提供商初始化，之后就能正常读取Key Vault中的其他敏感数据。

• 拆分配置为多个工作区
  把Key Vault的部署和其他业务资源拆分成独立的Terraform工作区：

  1. 第一个工作区：用本地Azure CLI认证（az login）完成Key Vault的部署，之后手动将应用注册密钥存入该Key Vault。
  2. 第二个工作区：同样用本地CLI认证初始化提供商，读取第一个工作区的Key Vault中的密钥，部署后续资源。

• 复用Azure CLI本地认证
  如果你的本地环境已经通过az login完成认证，且账号有权限访问目标Key Vault，可以直接让Terraform复用CLI的认证状态：
  在providers.tf中配置：

  provider "azurerm" {
    features {}
    use_cli = true
  }
  

  这样提供商无需在配置中硬编码密钥，初始化后就能正常读取Key Vault中的内容。

内容的提问来源于stack exchange，提问作者bizimunda